Emotet Trickbot Ryuk: triplete cyber crime

Si chiamano Emotet, Trickbot e Ryuk. Non sono personaggi di un cartone animato e nemmeno di una barzelletta. Si tratta di un trio cyber-crime estremamente letale.

Il 2020 è iniziato da poco ma non possiamo certo dire di esserci annoiati. Quest’anno siamo certi, si verificherà l’ennesima annata buona per hacker e Ransomware Attack.

Oggi, affrontiamo il 22° giorno di quarantena da Covid-19 tenendovi compagnia con nuove e interessanti aggiornamenti che riguardano la triplete Emotet Trickbot Ryuk. L’ennesima campagna hacker che tuttavia si distingue per una peculiarità: l’infezione in questo caso viene generata dalla cooperazione di tre file malevoli e sfrutta il terrore generato da Covid-19 per attaccarvi.

In Italia sono arrivate numerose campagne hacking in concomitanza con l’emergenza Corona virus. Le più letali sfruttano l’utilizzo di e-mail e fanno leva sul timore degli utenti. Ecco perché in prima linea ci sono Trickbot, Emotet e Ryuk.

In particolare la combo di virus storici Trickbot Emotet sono il vero lascia passare per il Ransomware Ryuk: il Ransomware del 2019.

Siamo pronti, partiamo!

Vi abbiamo parlato di Emotet in un’articolo del nostro blog online.

Emotet è un trojan bancario. Probabilmente il virus informatico più conosciuto tra Emotet Trickbot e Ryuk.
Nato per la prima volta nel 2014, il suo obiettivo in quanto malware è di acquisire le credenziali bancarie degli utenti.

Emotet malware si diffonde e colpisce le sue vittime attraverso delle vere e proprie campagne e-mail: il team di hacker invia un gran quantità di messaggi spam che contengono link infetti o documenti compromessi.

Una volta che Emotet è riuscito ad infettarvi, sfrutterà il vostro pc e l’elenco contatti in memoria per fare lo stesso.

TrickBot è una seconda tipologia di trojan bancario. In realtà di secondo non ha proprio nulla poiché i suoi creatori vengono da molti definiti come gli sviluppatori malware più pericolosi al mondo.

Quello che è certo è che TrickBot è stato ideato e progettato per rubare furtivamente dati e informazioni private agli utenti. Ricordate sempre il nostro mantra: Data is oil.

Nello specifico, TrickBot ha un compito ben prestabilito in questa campagna: non solo ruba dati ma è anche il vettore di istallazione di Ryuk Ransomware.

Anche in questo caso, TrickBot si diffonde tramite e-mai di spam (motivo per il quale la protezione e-mail è importante) e infetta le sue vittime tramite documenti Microsoft malevoli. L’obiettivo Trickbot è sempre lo stesso di Emotet: acquisire informazioni bancarie, dati delle reti, raccolta di credenziali e ricognizione dei sistemi.

E infine, arriva Ryuk Ransomware.

Sfortunatamente, abbiamo già avuto modo di conoscerlo. Una volta che vi ha infettati semplicemente non è più possibile rimuoverlo. Questo vi dice sostanzialmente quanto sia pericolosa l’azione di Ryuk.

Ryuk è un Ransomware o anche chiamato Crypto virus.

Dal momento in cui Ryuk arriva sul tuo pc si mette alla ricerca di file, qualsiasi sia il loro contenuto. Come qualsiasi Ransomware che si rispetti, Ryuk arriva sempre senza fare rumore, una volta entrato sul vostro pc studia attentamente quali file riesce a raggiungere e inizia a crittografarli uno per uno. Li prende in ostaggio attentamente e solo in un secondo momento vi dirà: se volete riavere il vostro materiale, dovete pagare una cifra di riscatto.

Ryuk vi farà sapere del suo operato tramite un file che riceverete dal ransomware in persona: RyukReadMe.txt

Ma come veniamo infettati da questi tre malware in un colpo solo?

La campagna Emotet TrickBot Ryuk parte dall’email.

Infatti, sulla vostra casella di posta elettronica arriva un messaggio che contiene un allegato Word. Una volta cliccato sull’allegato il file Emotet entra in payload: quest’ultimo infetta il pc e raccoglie una serie di informazioni sul dispositivo.

Parallelamente Emotet avvia l’installazione di un suo malware amico: TrickBot. TricBot non può fare altro che completare la sua azione creando una cartella di installazione e chiamando alle armi Ryuk.

Una volta installato persino Ryuk, al computer del malcapitato non resta che pregare ogni santo. Di lì a poco, infatti, Ryuk Ransomware comincerà a crittografare tutti i file in memoria sul pc per poi propagarsi in tutta la rete informatica.

Trickbot Emotet e Ryuk oltre ad identificare con cura i soggetti da attaccare stanno sfruttando il volume di ricerche sul Corona virus per essere ancor più efficaci nel colpire i propri obiettivi.

Per riassumere brevemente gli effetti di un attacco malware-ransomware come questo sono:

• furto di dati e credenziali personali (che dovranno essere cambiate nel momento immediato in cui riuscirete a liberarvi dall’infezione)
• perdita di file di posta
• furti di chiavi di registro
• accesso alla rete informatica
• perdita informazioni finanziarie
• furto del know-how
• danno d’immagine e perdita reputazionale
• danno economico
• fermo aziendale

Al tempo del corona virus, le infezioni malware sono aumentate per numero e pericolosità. Andando verso l’estate peggioreranno sempre di più i dati sugli attacchi hacker alle aziende. Ecco come fare per difendersi:

#1 Oggi più che mai, affidate la sicurezza del sistema informatico ad un partner cyber security certificato.

#2 Effettuare Vulnerability Assessment con regolarità alla ricerca di buchi di sicurezza del sistema.

#3 Avere un sistema di e-mail protection e di protezione perimetrale in azienda

Nel nostro piccolo anche noi utenti singoli possiamo limitare il rischio di infettare i nostri device:

#1 usate password sicure

#2 non cliccare su link, banner pubblicitari e allegati alle e-mail che non aspettiamo: come direbbero gli americani: evitate i click happy

#3 tenere aggiornati i sistemi operativi e leggere solo le notizie che provengono da siti attendibili.

Se pensate di essere stati attaccati da un ransomware, contattate il nostro soc security! 

Questa campagna malware mostra chiaramente una netta tendenza in crescita della complessità degli attacchi. In questo momento storico fatto di incertezze e tentativi, la cyber security rappresenta un punto fermo.

Ci teniamo a sottolineare che i prossimi mesi gli attacchi informatici, secondo una ricerca di Emisisoft, saranno più temibili per quantità ed effetti.

Onorato Informatica è un’azienda specializzata in sicurezza informatica per aziende dal 2006. Siamo un’azienda certificata ISO 9001 e ISO 27001. La nostra attività cyber security nasce e cresce nelle nostre sedi di: Mantova, parma, Milano e Los Angeles.